网络态势感知系统研究综述(2)

任务是评估攻击事件出现的频度和对网络威胁程度。态势评即把现有的Ｎｅｔｆｌｏｗ工具集成在一起，提供整个网络的态势估着重事件的出现，威胁评估则更着重事件和态势的效果。

感知，便于大规模网络的安全分析。美国国家高级安全系统研究中心（Ｎａｔｉｏｎａｌ

ＣｅｎｔｅｒｆｏｒＡｄｖａｎｃｅｄ

Ｓｅｃｕｒｅ

ＳｙｓｔｅｍｓＲｅ—

ｓｅａｒｃｈ，ＮＣＡＳＳＲ）正在进行的ＳＩＦ个“Ｊ（Ｓｅｃｕｒｉｔｙ

ＩｎｃｉｄｅｎｔＦｕ—

ｓｉｏｎ

Ｔ００１）项目，欲通过开发一个安全事件融合工具的集成框

架，为Ｉｎｔｅｒｎｅｔ提供安全可视化。目前该机构已开发的Ｉｎｔｅｒ—ｎｅｔ安全态势感知软件有：ＮｖｉｓｉｏｎＩＰ，ＶｉｓＦｌｏｗＣｏｎｎｅｃｔ—ＩＰ，ＵＣＬｏｇ＋等。ＮＶｉｓｉｏｎｌＰＥｌＺ，ｌａ］通过系统状态可视化来获取

Ｉｎｔｅｒｎｅｔ的安全态势感知；ＶｉｓＦｌｏｗＣｏｎｎｅｃｔ—ＩＰ［１“１５］通过连接

图２

网络态势感知、态势评估与威胁评估关系图分析可视化来获取Ｉｎｔｅｒｎｅｔ的安全态势感知；ｕＣＬｏｇ＋［１６］是２．３

ＮＳＡＳ与Ｉｌｌｓ比较

安全态势感知数据库系统，用于事件存储、事件查询以及事件ＮＳＡＳ与现有的Ｉ．ＤＳ之间有区别也有联系。二者的区别关联。

主要体现在：

其他研究机构还有美国国防部计算机安全中心（Ｎａｔｉｏｎａｌ

（１）系统功能不同。ＩＤＳ可以检测出网络中存在的攻击ＣｏｍｐｕｔｅｒＳｅｃｕｒｉｔｙＣｅｎｔｅｒ

ｏｆＤｅｐａｒｔｍｅｎｔｏｆＤｅｆｅｎｓｅ）、美国空

行为，保障网络和主机的信息安全。而ＮＳＡＳ的功能是给网军（ＵＳ

Ａｉｒ

Ｆｏｒｃｅ）、加拿大国防研究与开发中心（Ｄｅｆｅｎｃｅ

络管理员显示当前网络态势状况以及提交统计分析数据，为Ｒ＆ＤＣａｎａｄａ），以及瑞士联邦技术院（ＳｗｉｓｓＦｅｄｅｒａｌＩｎｓｔｉｔｕｔｅ

保障网络服务的正常运行提供决策依据。这其中既包括对攻ｏｆＴｅｃｈｎｏｌｏｇｙＺｕｒｉｃｈ，ＥＴＨ

Ｚｕｒｉｃｈ）等。

击行为的检测，也包括为提高网络性能而进行的维护。

鉴于当前网络的现状、发展以及入侵与攻击行为所造成（２）数据来源不同。１ＤＳ通过预先安装在网络中的Ａｇｅｎｔ的巨大损失，有关政府部门已经意识到开展网络态势感知研获取分析数据，然后进行融合分析，发现网络中的攻击行为。究的必要性。美国国防部在２００５年的财政预算报告［１７］中就ＮＳＡＳ采用了集成化思想，融合现有ＩＤＳ、ＶＤＳ（Ｖｉｒｕｓ

Ｄｅｔｅｃ—

包括了对网络态势感知项目的资助，并提出分三个阶段予以ｔｉｏｎ

Ｓｙｓｔｅｍ）、ＦｉｒｅＷａｌｌ、Ｎｅｔｆｌｏｗ（内嵌在交换机和路由器中的

实现，分别为：第一阶段完成对大规模复杂网络行为可视化新流量采集器）等工具提供的数据信息，进行态势分析与显示。

算法和新技术的描述和研究，着重突出网络的动态性和网络（３）处理能力不同。网络带宽的增长速度已经超过了计数据的不确定性；第二阶段基于第一阶段所研究的工具和方算能力提高的速度，尤其对于ＩＤＳ而言，高速网络中的攻击行法，实现和验证可视化原型系统；第三阶段实现可视化算法，为检测仍然是有待解决的难点问题。ＮＳＡＳ充分利用多种数提高网络态势感知能力。美国高级研究和发展机构（Ａｄ—

据采集设备，提高了数据源的完备性，同时通过多维视图显ｖａｎｃｅｄＲｅｓｅａｒｃｈａｎｄＤｅｖｅｌｏｐｍｅｎｔ

Ａｃｔｉｖｉｔｙ，ＵＳＡ）［１８］在２００６

示，融人人的视觉处理能力，简化了系统的计算复杂度，提高年的预研计划中，明确指出网络态势感知的研究目标和关键了计算处理能力。

技术。研究目标是以可视化的方式为不同的决策者和分析员

万　

方数据６

’

提供易访问、易理解的信息保障数据——攻击的信息和知识、

漏洞信息、防御措施等等；关键技术包括数据融合、数据可视化、网络管理工具集成技术、实时漏洞分析技术等等。

国内对网络态势感知的研究才刚刚起步。冯毅在文［１９］中从我军信息与网络安全的角度出发，阐述了我军积极开展网络态势感知研究的必要性和重要性，指出了两项关键技

殊需要，也可在相应的关键节点布置新的采集设备。数据预处理主要完成数据筛选、数据简约、数据格式转换以及数据存储等功能。事件关联与目标识别采用数据融合技术对多源异构数据从时间、空间、协议等多个方面进行关联和识别。态势评估和威胁评估在前面已有较为详细的介绍，在这就不重复该部分内容。响应与预警主要依据事件威胁程度给出相应的响应和防御措施，再把响应预警处理后的结果反馈给态势评估，来辅助态势评估。态势可视化为决策者提供态势评估结果（包括当前态势及未来态势）、威胁评估结果等信息的显示。过程优化控制与管理主要负责从数据采集到态势可视化的全过程优化控制与管理工作，同时将响应与预警和态势可视化术——多源传感器数据融合和数据挖掘。国内其它相关研究

主要是围绕网络安全态势评估、大规模网络预警等来开展的。在网络安全态势评估方面，西安交通大学实现了基于ＩＤＳ和防火墙的集成化网络安全监控平台［２…，该系统实现了态势评估；并在文［２１］中提出了一个基于统计分析的层次化安全态势量化评估模型，该模型从上到下分为系统、主机、服务和攻击／漏洞４个层次，并且采用了自下而上、先局部后整体的评估策略及相应计算方法。北京理工大学信息安全与对抗技术研究中心研制了一套基于局域网络的网络安全态势评估系统［ｚ２｜，由网络安全风险状态评估和网络威胁发展趋势预测两部分组成，用于评估网络设备及结构的脆弱性、安全威胁水平等。在大规模网络预警方面，国防科技大学的胡华平等人［２３］提出了面向大规模网络的入侵检测与预警系统的基本框架及其关键技术与难点问题。从以上的阐述，我们不难发现国内在网络安全态势评估和大规模网络预瞽所开展的研究，还存在诸如实时性不强、数据源单一等问题。

３通用的ＮＳＡｓ框架

通过对美国国防部ＪＤＬ［２４］（Ｊｏｉｎｔ

Ｄｉｒｅｃｔｏｒ

ｏｆＬａｂｏｒａｔｏ－

ｔｉｅｓ）给出的ＪＤＬ模型和Ｅｎｄｓｌｅｙ所给出的态势感知模型［２５］的分析研究，本文提出了ＮＳＡＳ的总体框架结构，如图３所示。ＮＳＡＳ主要包括多源异构数据采集、数据预处理、事件关联与目标识别、态势评估、威胁评估、响应与预警、态势可视化显示以及过程优化控制与管理等７个部分。

图３

ＮＳＡＳ框架

多源异构数据采集是通过分布在各个企事业单位现有的Ｎｅｔｆｌｏｗ采集器、ＩＤＳ、Ｆｉｒｅｗａｌｌ、ＶＤＳ等来实现的。如果有特

万　

方数据的结果反馈到过程优化控制与管理模块，实现整个系统的动态优化，达到网络态势监控的最佳效果。

４关键技术

大规模网络节点众多，分支复杂，数据流量大，并且包含多个网段，存在多种异构网络环境和应用平台。随着网络人侵和攻击正在向分布化、规模化、复杂化、间接化的趋势发展，为了实时、准确地显示整个网络态势状况，检测出潜在、恶意的攻击行为，ＮＳＡＳ必须解决相应的技术问题。

４．１数据挖掘

针对 …… 此处隐藏：2415字，全部文档内容请下载后查看。喜欢就下载吧 ……